Andy Garcia · dev freelance
FRENES
Volver al blog
Seguridad

Una región francesa dice que dos proveedores hackeados expusieron a casi 545.000 personas. Su portal de ayudas siguió cerrado

19 de octubre de 2026 7 min de lectura

El sábado 3 de octubre, la región francesa de Hauts-de-France, en el norte del país, afirmó en un comunicado que dos de sus proveedores, Atexo y Docaposte, habían sufrido un ciberataque que "permitió un acceso no autorizado a datos personales tratados por cuenta suya". Atexo, editor de software para organismos públicos, gestionaba y alojaba la plataforma regional de ayudas. Docaposte, la filial digital de La Poste, operaba la plataforma que hay detrás de Carte Génération #HDF, la tarjeta con la que la región da ayuda económica a estudiantes de secundaria y aprendices.

El lunes 5 de octubre, el presidente de la región, Xavier Bertrand, dio las primeras cifras en un pleno del consejo regional, según informó la AFP. Los datos de cerca de 545.000 personas se filtraron: como máximo 515.000 de las 745.000 personas registradas en la plataforma de Atexo, y cerca de 30.000 beneficiarios y socios de Carte Génération.

Tengo un motivo directo para leer esta noticia de cerca. Construí BidForge, una IA que lee los pliegos de licitaciones públicas francesas para pequeñas empresas, y varias de las plataformas de compradores de las que descarga esos pliegos funcionan con el software de contratación pública de Atexo. Así que voy a ser claro sobre lo que establecen las fuentes. La región nombra su plataforma de ayudas. Nada de lo publicado dice que las plataformas de contratación pública de Atexo se vieran afectadas, y nada de lo que sigue debe leerse así.

Lo que la región confirmó

El comunicado del 3 de octubre, difundido por la AFP, franceinfo y France 3, citaba entre los datos probablemente comprometidos nombres, apellidos, direcciones de correo electrónico, "potencialmente" datos bancarios y otros datos de identificación. Los datos bancarios son aquí RIB, el justificante de cuenta francés que lleva el IBAN. La región todavía no podía dar el número de personas afectadas, ni decir si se habían consultado o extraído otras categorías de datos. Las plataformas afectadas se cerraron, se presentó una denuncia y se alertó a la ANSSI, la agencia nacional de ciberseguridad.

Según franceinfo, los usuarios habían sido informados desde el viernes 2 de octubre, y un tercer servicio, la plataforma de la Maison des entrepreneurs Hauts-de-France, también resultó afectado, con un incidente "ya resuelto". La región dijo que los proveedores habían identificado "los fallos y el modo de operación del atacante" y habían empezado las correcciones, y la AFP informó de que el sistema de información interno de la región no se vio afectado.

El 5 de octubre, Bertrand fue más preciso. En la plataforma de Atexo, los datos filtrados son "nombres, apellidos, correos, tipo de tercero, habilitaciones" (en francés: "noms, prénoms, mails, type de tiers, habilitations"). Todavía no era posible saber si los datos bancarios "fueron consultados y pudieron ser extraídos". En el caso de Docaposte, dijo, serían sobre todo contratos de aprendizaje y RIB.

Fíjate en lo que es la cifra de 545.000: un techo para una plataforma más una estimación para la otra. No es un recuento.

Lo que solo se afirma

Un hacker que usa el nombre ChimeraZ afirma mucho más. Según Cyberattaque.org, y según Clubic, que cita además el rastreador FrenchBreaches, ChimeraZ publicó dos mensajes el 3 de octubre. Uno es una base de datos de 782.583 filas que abarca 708.068 personas, supuestamente procedente del sitio regional de ayudas, del sitio de Carte Génération y de un sitio de apoyo a empresas. El otro son 48 GB de documentos, 90.011 archivos, sobre todo PDF, supuestamente procedentes del portal de socios de Carte Génération: entre ellos 37.585 contratos de aprendizaje, 36.720 RIB, 15.118 justificantes de domicilio y 127 extractos de registro de empresa. ChimeraZ afirma también haber encontrado contraseñas escritas en el campo del teléfono móvil.

La región no hizo suyo nada de esto. El 3 de octubre dijo: "Hoy no estamos en condiciones de confirmar el volumen ni las demás categorías de documentos extraídos." La propia Cyberattaque.org señala que nada público permite atribuir todos los datos reivindicados a la intrusión en Atexo. Trato estas cifras como una afirmación, y tú deberías hacer lo mismo. El mismo nombre volvió el sábado 17 de octubre: FrenchBreaches informó de un nuevo mensaje de ChimeraZ sobre 1.066 alumnos y padres de PRREL Ambition, un programa de apoyo escolar, aunque precisó que ese mensaje por sí solo no demuestra que los sistemas de la región hayan sido vulnerados.

La palabra que importa es "habilitaciones"

La mayoría de los titulares que leí abrían con los RIB. Es razonable: los datos bancarios son lo que asusta a las familias. Para un lector del mundo de la empresa, la lista del 5 de octubre es más útil.

Mi lectura, como desarrollador que construye sobre plataformas del sector público francés: en la administración pública francesa, un "tiers" (tercero) es la parte a la que pertenece un expediente (una persona, una empresa, una asociación, un municipio), y las "habilitations" (habilitaciones) registran quién puede actuar en nombre de quién. La propia página de Atexo describe su producto de subvenciones como una solución que cubre subvenciones a asociaciones, municipios y empresas, además de ayudas individuales. Junta los campos y obtienes una lista de las personas que gestionan expedientes de subvenciones, su correo electrónico y el tipo de organización para la que actúan.

Eso no es la llave de una cuenta bancaria. Es la materia prima de un correo convincente. El que yo esperaría: "Tras el incidente de seguridad, su solicitud de ayuda debe completarse. Vuelva a subir aquí sus datos bancarios." Sería creíble precisamente porque una parte es verdad: la plataforma está cerrada, y la región ha prometido un tratamiento retroactivo para las solicitudes que no pudieron presentarse.

Si es cierta la afirmación sobre las contraseñas en el campo del teléfono, aporta una segunda lección para quien construye. Un campo de texto libre que acepta cualquier cosa acabará, entre cientos de miles de cuentas, almacenando cosas que no estaba pensado para guardar. Comprobar la forma de lo que almacenas es un control de seguridad, no un lujo.

Un producto, no un caso aislado

Atexo vende este tipo de plataforma a otros organismos públicos. Su sitio presenta un producto de subvenciones, ATEXO SUB o LOCAL TRUST SUB, con "más de 2.000 millones de euros" pagados al año, "más de 100.000 usuarios en entidades locales" y "más de un millón de beneficiarios". También se presenta como el líder francés de la contratación pública electrónica.

La región no ha dicho qué software de Atexo hacía funcionar su plataforma, y nada de lo que leí dice que otro cliente de Atexo se haya visto afectado. El 19 de octubre, la página de noticias de Atexo no tenía ninguna entrada sobre el incidente; su publicación más reciente era del 1 de junio. Si yo dirigiera un organismo público sobre una plataforma alojada de subvenciones o de contratación, mi primera pregunta ahora sería sencilla: ¿nuestra instancia está separada de las demás, y cómo lo sabríamos?

Dos semanas con la ventanilla cerrada

El 19 de octubre, la plataforma regional de ayudas, aides.hautsdefrance.fr, seguía mostrando una página de mantenimiento. Decía que la plataforma "está temporalmente cerrada para una auditoría de seguridad exhaustiva, realizada por precaución tras el incidente de la semana pasada. Reabrirá cuando concluya. Las solicitudes en curso se conservan y se aplicará la retroactividad a las solicitudes que no pudieron presentarse." Otro portal regional, fse.hautsdefrance.fr, mostraba ese día un aviso similar.

Ese es el coste de una brecha que más fácilmente se olvida al elegir un proveedor. El anuncio lleva un día. La ventanilla cerrada dura semanas, y cada asociación o pequeña empresa que espera para presentar una solicitud de subvención espera con ella.

Para los proveedores, el RGPD ya fija el marco. El artículo 33 obliga al encargado del tratamiento a notificar a su cliente "sin dilación indebida" tras tener conocimiento de una violación, y obliga al cliente, como responsable del tratamiento, a notificar a la autoridad de control en un plazo de 72 horas si es posible, salvo que sea improbable que la violación suponga un riesgo para las personas. El artículo 28 exige que el contrato de tratamiento obligue al encargado a "permitir y contribuir a la realización de auditorías" por parte del cliente o de un auditor que este autorice. Los comunicados que leí mencionan a la ANSSI y una denuncia ante las autoridades. No mencionan a la CNIL, lo cual no significa que no se hiciera ninguna notificación.

Como CTO de una LegalTech, leo el comunicado de la región como un adelanto del peor día de un proveedor: el cliente te nombra en su primer comunicado de prensa, y la cláusula de auditoría que firmaste se convierte en un servicio cerrado.

Qué comprobaría

Si tu empresa o tu asociación tiene una cuenta en una plataforma pública de ayudas o de contratación:

  1. Averigua qué dirección de correo está registrada y de quién es ese buzón. Si es de alguien que se fue, tampoco verás la notificación real.
  2. Usa una contraseña que no uses en ningún otro sitio. Si la reutilizaste, cámbiala primero en los demás servicios.
  3. Verifica cualquier petición de datos bancarios o de documentos a través de los datos de contacto oficiales del organismo, nunca por el enlace que recibiste. Según Clubic, la carta de la región a los usuarios dice que nunca pedirá una contraseña ni datos bancarios por correo electrónico, y que no hace falta ninguna gestión concreta ante la región en esta fase.

En cuanto a BidForge, descarga los pliegos de licitación de las plataformas de contratación de forma anónima: no tiene allí ninguna cuenta ni contraseña. Leyendo esta historia, es una línea de diseño que mantendría.

Los nombres y los correos se filtran cada semana. Una lista de quién actúa en nombre de qué organización, con qué dinero público, vale más para el siguiente que llame.

Fuentes

¿Un proyecto del mismo estilo?

Diseño y despliego productos como este. Hablemos.

Hablemos